Quelles sont les cookies sécurisées?

Les cookies sécurisées (Secure) sont des fichiers cookie avec le drapeau Secure activé. Ce drapeau indique au navigateur d’envoyer le cookie au serveur uniquement via une connexion sécurisée (HTTPS).

Elles offrent un niveau supplémentaire de sécurité, protégeant les données du cookie contre l’interception lors de la transmission sur une connexion HTTP non chiffrée.

Aspects clés :

• Exigent HTTPS : Le navigateur ignore le drapeau Secure pour les connexions HTTP.
• Protection contre l’interception : Empêchent les attaques de type man-in-the-middle (MITM).
• Confidentialité : Contribuent à la protection des données sensibles stockées dans le cookie.
• Ne protègent pas contre XSS : Le drapeau Secure n’empêche pas l’accès aux cookies via des vulnérabilités de scripting inter-sites (XSS). Pour cela, on utilise les drapeaux HttpOnly.

Exemple de configuration sur serveur (Node.js avec Express) :

// Configuration du cookie "session_id" avec la valeur "xyz123"
// Le drapeau Secure = true indique qu’il est envoyé uniquement via HTTPS
res.cookie('session_id', 'xyz123', { secure: true }); 

Exemple de configuration sur serveur (PHP) :

// Configuration du cookie "user_token" avec la valeur "abc456"
// Le paramètre 'secure' => true indique qu’il est envoyé uniquement via HTTPS
setcookie('user_token', 'abc456', [
    'expires' => time() + 3600,
    'path' => '/',
    'secure' => true,     // Envoyer uniquement via HTTPS
    'httponly' => true,   // Non accessible via JavaScript
    'samesite' => 'Strict' // Protection contre CSRF
]);